Як відключити swap-файли в ESXi?

У нас на ESXi запущено кілька віртуальних машин Solaris / Linux, які містять дуже чутливі зашифровані дані, які з часом розшифровуються у міру необхідності.

Все добре, за винятком файлів своп-файлів ESXi, які потенційно можуть зберігати деякі розшифровані дані, вишня на вершині торта полягає в тому, що ці файли не будуть видалені у разі збоїв хоста.

Чи є спосіб повністю відключити ці файли?

Ми вже намагалися резервувати всю виділену оперативну пам’ять для VM на основі VM, але файли все ще створюються.

Що потрібно, щоб заміна ESXi була повністю відключена для всього хоста або лише для деяких віртуальних машин?

Це цікаве питання. Я ніколи не замислювався про безпеку даних на рівні гіпервізора ... зазвичай політики безпеки та загартування обертаються навколо завдань, що стосуються ОС (обмеження демонів, портів, відключення основних файлів, параметрів кріплення файлової системи тощо).

Але після декількох швидких досліджень (та stringsна основі активних файлів VMWare .vswp) видно, що виразно можливо витягнути дані з .vswp файлів, що знаходяться у сховищі даних VMWare. Це посилання допомагає пояснити життєвий цикл таких файлів.

У вашому випадку я думаю, що ваш підхід визначатиметься політикою безпеки та вимогами. На моєму досвіді в галузі фінансів та роботи з аудитами, я вважаю, що прийнятим підходом було б обмеження / захист доступу до хост-сервера. Нагадаємо, що за замовчуванням у вашого хоста ESXi не ввімкнено SSH або консольний доступ. Увімкнення цих функцій кидає подію / сповіщення в vCenter, яку потрібно вручну змінити , тому припущення полягає в тому, що аудит доступу є найкращим способом контролю доступу до цієї інформації.

Якщо є сумніви щодо того, хто може мати доступ до сервера, технічне рішення адміністративної проблеми може не бути. Я перевірю деякі інші джерела, щоб побачити, чи є спосіб обмежити використання файлів .vswp.

--edit--

Ви можете зарезервувати всю гостьову оперативну пам’ять. Ви не вказуєте, яку версію VMWare використовуєте, але в моїй установці 5.1 є можливість зберегти всю пам’ять гостя . Увімкнення цієї опції створює .vswp файл нульової довжини , а не один, що дорівнює розміру оперативної пам’яті, виділеної віртуальній машині. Не звертайте уваги на файл vmx - *. Vswp. Це нове для ESXi 5.x , і воно не пов’язане з тиском пам'яті операційної системи гостя (це для купи VMX-процесів, гостьової периферії та агентів управління). Крім того, файли vmx - *. Vswp можна відключити, встановивши sched.swap.vmxSwapEnabledна FALSE.

Я думаю, що це дасть тобі те, що ти просиш.

Немає резервування пам'яті (за замовчуванням):

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody  3221225472 Dec 23 13:31 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:31 vmx-Test_Bed-2907257217-1.vswp

При заблокованому режимі пам'яті:

root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs  nobody           0 Dec 23 13:38 Test_Bed-ad493981.vswp
-rw------- 1 nfs  nobody   115343360 Dec 23 13:38 vmx-Test_Bed-2907257217-1.vswp

Схоже, ви намагаєтеся вирішити проблему неправильно. Намагання зупинити заміну машини не є гарантією того, що конфіденційні дані не потраплять на диск. А як щодо основних відвалів тощо? Коли у вас є пристрій для запису, який знаходився в системі, що містить конфіденційні дані, він не повинен вважатися "чистим" і його слід знищувати, коли його використання закінчиться.

Якщо ваші дані такі чутливі, вам слід фізично захистити систему. Кожен, хто потребує доступу до системи, повинен бути відповідним чином перевірений та спеціально уповноважений на це. Їх діяльність потребує дозволу, реєстрації та нагляду тощо.

Сценарій ви описуєте легко управляється. Ви повинні мати процедури для знищення пристроїв, які містять чутливі дані, співмірні з чутливістю даних. Ви просто не випускаєте пристрій із захищеного середовища, якщо він не підписаний відповідним органом влади, після чого він перестане бути вашою проблемою.

Повинно бути достатньо для шифрування свопфілів віртуальної машини, які створює ESXi. Спробуйте помістити свопі файли в зашифрований сховище даних , наприклад, шифруючий SAN або самокодируючий диск.